Fuite de données de Jam Tangan en 2021

La fiche externe répertorie six types de données : adresses e-mail, adresses IP, noms, numéros de téléphone, adresses postales et mots de passe. Elle indique que certains mots de passe étaient stockés sous forme d’empreintes MD5 sans sel, et d’autres sous forme d’empreintes bcrypt. La source ne précise ni le nombre d’enregistrements utilisant chaque algorithme, ni les paramètres de coût de bcrypt, ni si chaque ligne contenait les six champs.

La présence de cartes de paiement, de comptes bancaires, du contenu des commandes, d’identifiants d’appareils et de pièces d’identité n’est pas confirmée pour cette fiche. La méthode d’accès initiale est également inconnue. Ces champs, ainsi que toute technique d’attaque supposée, ne doivent pas être ajoutés au périmètre des données.

Le chiffre de 434 784 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe vérifié. Il ne mesure pas le nombre de personnes, de comptes clients ou de lignes du fichier source. Une personne peut utiliser plusieurs adresses, et plusieurs comptes peuvent être associés à une même adresse. Ce chiffre ne peut donc pas être présenté directement comme le nombre de personnes touchées.

Une vérification effectuée sur l’environnement de production en fonctionnement n’a trouvé aucun traitement d’importation associé ni aucun enregistrement lié localement dans les collections d’adresses e-mail, de mots de passe, de numéros de téléphone, d’adresses IP, de noms d’utilisateur, d’identités ou de données générales. Le chiffre de 434 784 est donc présenté uniquement comme un décompte externe d’adresses e-mail uniques, sans laisser entendre qu’il s’agit d’un total local ou d’un nombre d’enregistrements importés.

La fiche vérifiée consacrée à la fuite étaye la date, le nombre d’adresses e-mail uniques, les six champs et les deux méthodes de hachage des mots de passe. L’examen n’a trouvé aucun avis de l’exploitant, aucun document d’une autorité de régulation ni aucun rapport indépendant fiable détaillant séparément l’événement. Le moment exact de l’accès, les dates de découverte et de notification, la date de publication sur le forum et la méthode d’attaque restent donc inconnus.

jamtangan.com est actuellement accessible et confirme l’identité de la boutique; le simple fait que le domaine d’une entreprise fonctionne ne prouve pas une fuite de données. Le site actuel de l’entreprise n’est donc pas présenté comme une source sur l’incident.

Les empreintes de mots de passe MD5 sans sel résistent mal aux tentatives de deviner les mots de passe hors ligne. Bcrypt est une méthode de hachage des mots de passe plus robuste, mais un mot de passe faible ou réutilisé peut tout de même présenter un risque. Si vous avez utilisé sur un autre compte un mot de passe employé sur Jam Tangan pendant cette période, attribuez à cet autre compte un mot de passe unique et activez l’authentification multifacteur lorsqu’elle est disponible.

La combinaison des noms, des numéros de téléphone, des adresses postales et des adresses e-mail peut rendre les tentatives d’hameçonnage ciblé plus convaincantes. Plutôt que de suivre les liens de messages inattendus concernant une commande, un bon de réduction, une livraison ou une réinitialisation de mot de passe, accédez directement à l’adresse du service. Cette fiche ne contient aucune preuve vérifiée de fraude, de prise de contrôle de compte ou de préjudice physique.